Beslissing ten gronde nr. 165/2023

1/24 Geschillenkamer Beslissing ten gronde 165/2023 van 11 december 2023 Dossiernummer : DOS-2022-02499 Betreft : Potentiële inbreuk in verband met persoonsgegevens inzake een aanmeldsysteem De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Jelle Stassijns en Frank De Smet, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De verweerder: Stad Antwerpen, met maatschappelijke zetel te 2000 Antwerpen, Grote Markt 1, met ondernemingsnummer 0207.500.123, hierna “de verweerster”. Beslissing ten gronde 165/2023 – 2/24 I. 1. Feiten en procedure Het centraal inschrijvingssysteem MeldJeAan (hierna: MeldJeAan) wordt reeds enkele jaren in verschillende steden gebruikt in het kader van toewijzing van scholen om meer een sociale mix te bewerkstelligen binnen de scholen. 2. Daartoe dienden de ouders en desgevallend de voogd de volgende persoonsgegevens op te geven: identificatiegegevens (naam, adres, geboortedatum, telefoonnummer van zowel ouders/voogd als kinderen), elektronische identificatiegegevens (e-mailadressen van zowel ouders/voogd als kinderen), persoonlijke kenmerken (leeftijd, geslacht van kinderen), opleiding en vorming (moeder), nationaal nummer (het rijksregisternummer van het kind), het feit of er reeds broers en/of zussen van het kind in een bepaalde school van die stad aanwezig zijn, het feit of de ouders personeelslid zijn van een school waar men zich aanmeldt, het feit of het gezin een schooltoeslag ontving in het lopende schooljaar of het voorgaande schooljaar, de spreektaal van het kind en het eventueel verslag buitengewoon onderwijs. Daarnaast werden ook andere persoonsgegevens verwerkt binnen de applicatie, te weten indicatoren omtrent leerlingen: thuistaal, opleidingsniveau moeder, buurtindicator en schooltoeslag en voorkeuren voor een bepaalde school. Op basis van deze persoonlijke voorkeuren en de andere gegevens kregen de kinderen een school toegewezen. Nadien werden per school lijsten opgemaakt van de kinderen die zich voor de school hadden aangemeld. Door in te loggen op de backoffice van “MeldJeAan” kan een medewerker voor zijn school een lijst downloaden met alle persoonsgegevens van de ouders en hun kinderen die zich hadden aangemeld op die school. Door een mogelijk gebrek in de onlinetoepassing MeldJeAan zoals gebruikt voor het Gentse secundair onderwijs bleek dat de URL met de link naar de downloadlijst ook rechtstreeks benaderbaar was, zonder in te loggen op de backoffice. Iedere secundaire school in het systeem krijgt een unieke ID van 30 tekens welke is opgenomen in de URL waardoor men, indien men beschikte over die unieke ID en zonder eerst aan te melden, de lijst kon downloaden met persoonsgegevens van de ouders en hun kind die aangemeld waren bij de school gekoppeld aan de unieke ID. Er werd minstens1 één lijst op een dergelijke wijze gedownload. Eveneens werd de methode van downloaden gemeld aan de pers waardoor deze ook zelf een lijst heeft gedownload en, weliswaar gepseudonimiseerd, heeft gepubliceerd. 3. Deze onlinetoepassing MeldJeAan werd ook gebruikt in onder andere Antwerpen, voor wat betreft het basisonderwijs. De GBA heeft geen melding ontvangen van een gegevensinbreuk met betrekking tot de applicatie vanwege de Er worden geen logs bijgehouden van wanneer of wie lijsten downloadt aangezien dit niet in de programmaspecificatie werd opgenomen. Zie bijlage 1, meldformulier, punt 4: preventie en beheer van het gegevenslek. 1 Beslissing ten gronde 165/2023 – 3/24 verwerkingsverantwoordelijken te Antwerpen hoewel het veiligheidsrisico ook ten aanzien van hen bestond. 4. Gelet op het bovenstaande heeft het Directiecomité van de Gegevensbeschermingsautoriteit (hierna: “GBA”) op 20 juni 2022 beslist de Inspectiedienst te vatten op grond van artikel 63, 1° WOG omwille van een praktijk die aanleiding kan geven tot een inbreuk op de grondbeginselen van de bescherming van persoonsgegevens. 5. Op 10 oktober 2022 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG). Het verslag bevat vaststellingen met betrekking tot het voorwerp van de beslissing van het directiecomité en besluit dat er sprake is van een inbreuk op: 1. artikel 5.1.

1. f)en 5.2 van de AVG, artikel 24.1 van de AVG, artikel 25.1 van de AVG en artikel 32.1 en 32.2 AVG; 2. artikel 35.1, 35.2, 35.3 en 35.7 AVG; en 3. artikel 38.1 en artikel 39 AVG. Het verslag bevat daarnaast aanvullende vaststellingen gelet op artikel 72 WOG. De Inspectiedienst stelt, in hoofdlijnen, vast dat er sprake is van een inbreuk op: 4. artikel 30.1 AVG. 6. Op 28 oktober 2022 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde. 7. Op 28 oktober 2022 wordt de verweerster per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens wordt zij op grond van artikel 99 WOG in kennis gesteld van de termijn om haar verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster wordt vastgelegd op 9 december 2022. 8. Op 28 oktober 2022 aanvaardt de verweerster elektronisch alle communicatie omtrent de zaak. 9. Op 2 november 2022 vraagt de verweerster een kopie van het dossier (art. 95, § 2, 3° WOG), dewelke haar werd overgemaakt op 9 november 2022. 10. Op 9 december 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerster. Beslissing ten gronde 165/2023 – 4/24 11. Op 8 mei 2023 wordt de verweerster ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 23 juni 2023. 12. Op 23 juni 2023 wordt de verweerster gehoord door de Geschillenkamer. 13. Op 28 juni 2023 wordt het proces-verbaal van de hoorzitting aan de verweerster voorgelegd. 14. Op 4 juli 2023 ontvangt de Geschillenkamer vanwege de verweerster enkele opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad. II. Motivering II.1. Identiteit van de verwerkingsverantwoordelijke II.1.1. Vaststelling van de Inspectiedienst 15. De Inspectiedienst identificeert de verweerster als verwerkingsverantwoordelijke voor wat betreft de verwerkingen van persoonsgegevens in het kader van het online aanmeldsysteem MeldJeAan. Het inspectieverslag verwijst hiervoor enerzijds naar de verwerkersovereenkomst met Z omtrent de ontwikkeling van de onlinetoepassing MeldJeAan waarin de verweerster de verwerkingsverantwoordelijke genoemd wordt, en anderzijds naar het document genaamd “genomen maatregelen naar aanleiding van het datalek MeldJeAan” dat de verweerster aan de Inspectiedienst heeft overgemaakt. II.1.2. Standpunt van de verweerster 16. De verweerster voerde in haar conclusies aan dat zij niet beschouwd moest worden als verwerkingsverantwoordelijke voor de verwerkingen van de persoonsgegevens via MeldJeAan. In dit kader verwees de verweerster naar het decreet van 25 februari 1997 betreffende het basisonderwijs2. Ingevolge dit decreet is het Lokaal OnderwijsPlatform Antwerpen (hierna: LOP Antwerpen) sinds 2021 verplicht om het aanmeldsysteem in het basisonderwijs in Antwerpen te organiseren. Bijgevolg dient dan ook het LOP Antwerpen als verwerkingsverantwoordelijke beschouwd te worden in het kader van MeldJeAan, zo stelde de verweerster. 17. Ter bevestiging van deze stelling verwees de verweerster eveneens naar het schrijven van de Vlaamse Toezichtscommissie (VTC) dd. 25 oktober 2022 waarin deze het LOP Antwerpen blijkt te beschouwen als de verwerkingsverantwoordelijke voor wat betreft de verwerkingen van persoonsgegevens in het kader van MeldJeAan. 18. Tijdens de hoorzitting nam de verweerster echter een ander standpunt in. Vooreerst licht zij de evolutie van de rol van verwerkingsverantwoordelijke en verwerker toe. Tot en met einde 2 BS. 14 april 1997. Beslissing ten gronde 165/2023 – 5/24 2022 was de verweerster van oordeel dat het LOP Antwerpen verwerkingsverantwoordelijke in het kader van MeldJeAan was, gelet op de bovenvermelde decretale verplichting van het LOP Antwerpen om het aanmeldsysteem te organiseren. De documentatie die in augustus 2022 bezorgd werd aan de Inspectiedienst tijdens het onderzoek in het kader van dit dossier, werd opgesteld aan de hand van het advies dat de verweerster van de VTC ontvangen had, namelijk dat het LOP als verwerkingsverantwoordelijke beschouwd moet worden. In januari 2023 maakte het Agentschap voor Onderwijsdiensten van de Vlaamse Overheid (hierna: AGODI) haar standpunt bekend omtrent wie de rol van verwerkingsverantwoordelijke ter zake opneemt. Dit standpunt luidt dat vanaf het schooljaar 2023-2024 de scholen als gezamenlijke verwerkingsverantwoordelijke beschouwd moeten worden aangezien het LOP Antwerpen zelf geen rechtspersoon is, maar bestaat uit de betrokken schoolbesturen. Aangezien het aanmeldsysteem een eerlijkere en transparantere manier om inschrijvingen te laten verlopen beoogt en gelet op o.a. de beperkte werkingsbudgetten van het LOP Antwerpen heeft de verweerster besloten om financiële middelen toe te kennen en aldus de gezamenlijke verwerkingsverantwoordelijkheid op te nemen, samen met de schoolbesturen. Dit standpunt werd ingenomen onder voorbehoud van het resultaat van de Vlaamse beleidsdiscussie. Als gevolg van dit standpunt heeft de verweerster haar aanpak bijgestuurd om de naleving van de AVG te bewerkstellingen. II.1.3. Beoordeling van de Geschillenkamer 19. De Geschillenkamer merkt op dat er in de loop van de voorbije jaren door meerdere instanties verschillende standpunten ingenomen en adviezen verstrekt zijn omtrent de verwerkingsverantwoordelijkheid inzake MeldJeAan, maar dat het meest recente standpunt van de verweerster is dat zij zichzelf beschouwt als gezamenlijke verwerkingsverantwoordelijke. 20. In dit verband wijst de Geschillenkamer naar artikel 26 AVG. Dit artikel bepaalt dat wanneer twee of meer verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen, zij gezamenlijke verwerkingsverantwoordelijken zijn. Twee belangrijke elementen uit aangehaald artikel 26 AVG zijn enerzijds ‘het doel en de middelen van de verwerking bepalen’ en anderzijds ‘gezamenlijk’. 21. Voor wat betreft de bepaling van het doel en de middelen van de verwerking kan worden verwezen naar artikel 4.7 AVG waarin de definitie van verwerkingsverantwoordelijke luidt als volgt: de “natuurlijke persoon of rechtspersoon, overheidsinstantie, dienst of ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt”. Net als bij het begrip Beslissing ten gronde 165/2023 – 6/24 verwerkingsverantwoordelijke vereist de analyse verwerkingsverantwoordelijke een feitelijke beoordeling. 22. van een gezamenlijke 3 Voor wat betreft het ‘gezamenlijk’ karakter, is overkoepelende criterium voor het bestaan van de gezamenlijke verantwoordelijkheid voor de verwerking de gezamenlijke deelname van twee of meer entiteiten aan de vaststelling van het doel en de middelen van een verwerkingsactiviteit. Gezamenlijke deelname kan de vorm aannemen van een gezamenlijk besluit van twee of meer entiteiten of het resultaat zijn van convergerende besluiten van twee of meer entiteiten, wanneer de besluiten elkaar aanvullen en noodzakelijk zijn om de verwerking op zodanige wijze te laten plaatsvinden dat zij een tastbaar effect hebben op de vaststelling van het doel en de middelen van de verwerking. Belangrijk is dat de verwerking niet mogelijk zou zijn zonder de deelname van beide partijen, in die zin dat de verwerking door elke partij onscheidbaar, d.w.z. onlosmakelijk met die van de andere verbonden is. 4 23. De Geschillenkamer stelt vast dat het doel van de verwerkingen van persoonsgegevens via MeldJeAan vierledig is. Ten eerste het waarborgen van de vrije schoolkeuze van alle ouders en leerlingen, door het vermijden van kampeerrijen voor de schoolpoort, objectivering van de inschrijvingen in scholen met capaciteitsdruk, het opstellen van een centrale tijdslijn en uniformiteit in functie van de ouders; ten tweede het realiseren van optimale leer- en ontwikkelingskansen voor alle leerlingen en dit voor het basisonderwijs, voor zover mogelijk, in een school in hun buurt; ten derde het bevorderen van de sociale cohesie, en ten vierde het vermijden van uitsluiting, segregatie en discriminatie. Deze doelstellingen werden bepaald door AGODI en het LOP Antwerpen is decretaal 5 verplicht om binnen haar werkingsgebied hieraan uitvoering te geven. AGODI stelt hieromtrent op de eigen website dat de schoolbesturen en AGODI als gezamenlijke verwerkingsverantwoordelijke te beschouwen zijn: “[v]oor het aanmeldingssysteem van de Vlaamse overheid geldt dat de schoolbesturen en AGODI gezamenlijke verwerkingsverantwoordelijke zijn. Dat wil zeggen dat de schoolbesturen en AGODI samen het doel en de middelen voor de verwerking van 3 EDPB Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG, 7 juli 2021, https://edpb.europa.eu/system/files/2023-10/edpb_guidelines_202007_controllerprocessor_final_nl.pdf, randnummer 52. 4 EDPB Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG, 7 juli 2021, https://edpb.europa.eu/system/files/2023-10/edpb_guidelines_202007_controllerprocessor_final_nl.pdf, randnummer 58 e.v. 5 Decreet basisonderwijs van 25 februari 1997, https://codex.vlaanderen.be/Portals/Codex/documenten/1005384.html BS 17 april 1997. - Artikel 37vicies semel. (01/09/2022- ...) In afwijking van het eerste lid moeten de schoolbesturen die een school, scholen voor buitengewoon onderwijs uitgezonderd, hebben binnen het werkingsgebied van het LOP Antwerpen, Brussel-Hoofdstad of Gent een aanmeldingsprocedure instellen die geldt voor alle scholen, scholen voor buitengewoon onderwijs uitgezonderd, gelegen binnen dat respectieve werkingsgebied. Beslissing ten gronde 165/2023 – 7/24 persoonsgegevens bepalen. Beide zijn verantwoordelijk voor het ordentelijk bijhouden en verwerken van persoonsgegevens in het kader van de algemene gegevensverordening”.6 24. De verweerster licht toe dat het LOP Antwerpen echter niet over de nodige middelen beschikt om dit aanmeldingssysteem te financieren. Bijgevolg heeft de verweerster de beslissing genomen om de nodige financiële middelen te bepalen en toe te kennen aan het LOP Antwerpen om uitvoering te kunnen geven aan deze decretale verplichting. 25. De Geschillenkamer stelt vast dat de verweerster de beslissing heeft genomen om de nodige financiële middelen enerzijds te bepalen en anderzijds deze financiële middelen toe te kennen in het kader van MeldJeAan. Daarnaast heeft de verweerster de verwerkersovereenkomst met Z afgesloten waarin de omvang van de verwerkingen worden bepaald door de verweerster als verwerkingsverantwoordelijke ten aanzien van de verwerker. Gelet op het bovenstaande oordeelt de Geschillenkamer dat de verweerster, samen met AGODI en de schoolbesturen, gezamenlijke verwerkingsverantwoordelijke is aangezien de beslissingen van AGODI en het LOP Antwerpen inzake de organisatie van het centraal aanmeldingssysteem en de beslissingen van de verweerster om de nodige financiële middelen te voorzien en het afsluiten van de verwerkersovereenkomst convergerende besluiten zijn met een tastbaar effect op de vaststelling van het doel en de middelen van de verwerking en die elkaar aanvullen en noodzakelijk zijn om de verwerking op zodanige wijze te laten plaatsvinden. 26. Gelet op het bovenstaande dient de verweerster als gezamenlijke verwerkingsverantwoordelijke in de zin van artikel 26 AVG beschouwd te worden waardoor zij dient de voldoen aan de verplichtingen in hoofde van de gezamenlijke verwerkingsverantwoordelijken zoals bepaald in de AVG. II.2. Artikel 5.1.f), 5.2, artikel 24. 1, artikel 25. 1 en artikel 32. 1 en 32.2 AVG II.2.1. Vaststellingen in het Inspectieverslag 27. Tijdens het inspectieonderzoek heeft de Inspectiedienst gevraagd naar de beveiliging van de verwerking van persoonsgegevens in het kader van het online inschrijvingssysteem “MeldJeAan”. In het antwoord op deze vragen heeft de verweerster verwezen naar de volgende documenten: de verwerkersovereenkomst met Z enerzijds en het overzicht van de genomen maatregelen naar aanleiding van datalek MeldJeAan anderzijds. 28. Ten eerste stelt de Inspectiedienst vast dat de voormelde verwerkersovereenkomst met Z geen handtekeningen van de verweerster en de verwerker bevat. 6 https://onderwijs.vlaanderen.be/nl/directies-administraties-en-besturen/leerlingenadministratie-basis-en-secundaironderwijs/leerlingen-inschrijven-in-het-basis-en-secundair-onderwijs/leerlingen-inschrijven-in-het-gewoononderwijs/inschrijven-en-aanmelden/aanmeldingssysteem-gewoon Beslissing ten gronde 165/2023 – 8/24 29. Ten tweede verwijst de Inspectiedienst naar het document genaamd “Maatregelen genomen rond het datalek MeldJeAan” van de verweerster waarin een lijst is opgenomen van drie categorieën maatregelen: software, toegang en omgeving. Er wordt echter in het voormelde document niet vermeld wanneer precies die maatregelen werden besproken, goedgekeurd en uitgevoerd en welke leidinggevenden en medewerkers van de verweerster en van de verwerker Z daarbij betrokken waren. 30. Tot slot stelt de Inspectiedienst vast dat het onduidelijk is hoe en wanneer de functionaris voor gegevensbescherming van de verweerster betrokken werd in het kader van de beveiliging van de verwerking van persoonsgegevens in het kader van MeldJeAan. 31. Op basis van bovenstaande vaststellingen concludeert de Inspectiedienst dat er sprake is van een inbreuk op artikel 5.1.f), 5.2, 24.1, 25.1 32.1 en 32.2 AVG. II.2.2. Standpunt van de verweerster 32. De verweerster betwist de vaststellingen van de Inspectiedienst. Voor wat betreft de vaststellingen omtrent het gebrek aan handtekeningen in de verwerkersovereenkomst voert de verweerster aan dat overeenkomstig artikel 28.3 AVG het volstaat dat de verwerking door een verwerker wordt geregeld in een overeenkomst of andere rechtshandeling krachtens het Unierecht of het lidstatelijke recht die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt. De verweerster stelt dat er geen discussie bestaat tussen de partijen bij de verwerkersovereenkomst over het bindende karakter van deze verwerkersovereenkomst. Bovendien wijst de verweerster erop dat het contractuele kader tussen de partijen momenteel wordt herzien, zodat de aan de Inspectiedienst overgemaakte verwerkersovereenkomst spoedig achterhaald zal zijn. De nieuwe ondertekende overeenkomst kan desgewenst aan de Geschillenkamer overgemaakt worden. 33. Vervolgens verwijst de verweerster naar de vaststelling van de Inspectiedienst omtrent hoe en wanneer de naleving van de verwerkersovereenkomst tussen de verweerster en de verwerker door haar wordt gecontroleerd. In dit kader stelt de verweerster dat de AVG nergens, ook niet als onderdeel van de verantwoordingsplicht, voorziet in een verplichting om de naleving van iedere verwerkersovereenkomst systematisch te controleren, minstens niet wanneer er geen indicatie of melding is van enig risico. 34. Tot slot formuleert de verweerster een antwoord omtrent de vaststelling van de Inspectiedienst over hoe en wanneer de functionaris voor gegevensbescherming betrokken werd in het kader van de beveiliging van de verwerking van persoonsgegevens in het kader van MeldJeAan. De verweerster verduidelijkt gegevensbescherming initieel niet betrokken dat de functionaris voor was bij MeldJeAan aangezien de totstandkoming van dit platform voor de inwerkingtreding van de AVG opgericht werd. Beslissing ten gronde 165/2023 – 9/24 Ondertussen werd de functionaris voor gegevensbescherming wel ingeschakeld en betrokken bij (o.a.) de gegevensbeschermingseffectenbeoordeling die werd uitgevoerd. II.2.3. Beoordeling door de Geschillenkamer 35. Artikel 5.1.
2. f)van de AVG schrijft voor dat “[persoonsgegevens] door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging”. 36. In verdere uitwerking van artikel 5.1.
3. f)AVG stelt artikel 32.1 AVG dat de verweerster als verwerkingsverantwoordelijke passende technische en organisatorische maatregelen moet treffen om een op het risico afgestemd beveiligingsniveau te waarborgen. Hierbij moet rekening worden gehouden met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context, de verwerkingsdoeleinden en de waarschijnlijkheid en ernst van de uiteenlopende risico’s voor de rechten en vrijheden van personen. 37. Artikel 32.2 van de AVG bepaalt dat bij de beoordeling van het passende beveiligingsniveau rekening moet gehouden worden met de verwerkingsrisico’s, vooral als gevolg van de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens, hetzij per ongeluk hetzij onrechtmatig. 38. De Geschillenkamer wijst er op dat de verantwoordingsplicht ex artikel 5.2 AVG, artikel 24.1 en artikel 25.1 AVG inhoudt dat op de verwerkingsverantwoordelijke de verplichting rust tot, enerzijds, het nemen van proactieve maatregelen teneinde de naleving van de voorschriften van de AVG te waarborgen en, anderzijds, het kunnen aantonen dat hij dergelijke maatregelen heeft getroffen. 39. Kortom: op de verweerster rust de verplichting tot het nemen van passende technische en organisatorische maatregelen om een passend beveiligingsniveau te waarborgen en dit ook te kunnen aantonen. 40. Voor wat betreft de hierboven vermelde verantwoordingsplicht stelt de Geschillenkamer vast dat de Inspectiedienst het volgende gevraagd heeft aan de verweerster: “Een kopie van de documenten van [verweerster] over de maatregelen en beslissingen die werden genomen voor de beveiliging van de verwerking van persoonsgegevens in het kader van het online inschrijvingssysteem ‘Meld je aan’ en de verantwoording daarvan overeenkomstig artikel 1, lid 1,
4. f)en lid 2 van de AVG, artikel 24, lid 1 van de AVG, artikel 25, lid 1 van de AVG en artikel 32 van de AVG. Gelieve ook een kopie te bezorgen van de informatie en adviezen die de functionaris voor gegevensbescherming van [verweerster] in Beslissing ten gronde 165/2023 – 10/24 dat verband verstrekt heeft en met documenten onderbouwde uitleg te geven over diens betrokkenheid in dat verband overeenkomstig artikel 38, lid 1 in samenhang gelezen met artikel 39, lid 1 van de AVG”. 41. De Geschillenkamer stelt vast dat de verweerster geen stukken overmaakt, of op enige andere manier aantoont, hoe en wanneer de naleving van de verwerkersovereenkomst werd gecontroleerd, noch aan de start, noch tijdens de uitvoering van de verwerkersovereenkomst. Artikel 28, lid 1 schrijft echter voor dat wanneer en verwerking namens een verwerkingsverantwoordelijke wordt verricht, deze verwerkingsverantwoordelijke uitsluitend een beroep mag doen op verwerkers die afdoende garanties bieden met betrekking tot het toepassen van passende technische en organisatorische maatregelen opdat de verwerking aan de vereisten van de AVG voldoet. De verwerkingsverantwoordelijke kan dit nagaan door bijvoorbeeld het opvragen van een beschrijving van de beveiligingsmaatregelen van de verwerker en door de werkwijze van de verwerker te beoordelen, met de betrokkenheid van de functionaris voor gegevensbescherming. In het kader van de reeds vermelde verantwoordingsplicht is het van belang om deze beoordelingen goed te documenteren. 42. Vervolgens stelt de Geschillenkamer vast dat het document “Maatregelen genomen rond het datalek MeldJeAan” een reeks maatregelen voorziet, samen met een verduidelijking wat het doel is van elke maatregelen en wat de status van de implementatie is. Een bijkomend document geeft aan wanneer de vergaderingen omtrent deze maatregelen hebben plaatsgevonden en wie eraan deelgenomen heeft. De Geschillenkamer merkt op dat dit document weinig concreet is omtrent de goedkeuring van deze maatregelen en over de verdere timing van de implementatie van bepaalde maatregelen en opvolging van de reeds ingevoerde/nog in te voeren beveiligingsmaatregelen. De verweerster toont met deze documenten bijgevolg niet aan dat er rekening werd gehouden met de stand van de techniek, de uitvoeringskosten, aard, omvang en context van de verwerking, noch toont zij aan dat deze maatregelen voldoende afgestemd zijn op het beveiligingsrisico en rekening houden met de verwerkingsrisico’s, zoals voorgeschreven door artikel 32.1 en 32.2 AVG. 43. Voor wat betreft de vaststelling van de Inspectiedienst omtrent de betrokkenheid van de functionaris voor gegevensbescherming stelt de Geschillenkamer vast dat de verweerster geen documentatie, zoals adviezen, voorlegt waaruit blijkt dat de functionaris voor gegevensbescherming geconsulteerd werd in het kader van de beveiliging van MeldJeAan. De verweerster werpt op dat MeldJeAan tot stand gekomen is voordat de AVG van toepassing was. Het komt echter toe aan elke verwerkingsverantwoordelijke, om, na het van kracht worden van de AVG, proactief na te gaan of de verwerkingen van persoonsgegevens voldoen aan de vereisten van de AVG en om desgevallend de nodige aanpassingen te doen en dit ook zo te documenteren. Beslissing ten gronde 165/2023 – 11/24 44. Gelet op het bovenstaande oordeelt de Geschillenkamer dat er sprake is van een inbreuk op artikel 5.1.f), artikel 32.1 en 32.2 j° artikel 5.2, artikel 24.1 en artikel 25.1 AVG, namelijk de verantwoordingsplicht met betrekking tot de beveiliging van de verwerking van persoonsgegevens in het kader van MeldJeAan. 45. De Inspectiedienst stelde eveneens een inbreuk van bovenvermelde artikels vast gelet op het feit dat de verwerkersovereenkomst tussen de verweerster en Z niet gehandtekend werd. De Geschillenkamer wijst erop dat de verwerkersovereenkomst werd uitgevoerd door de partijen, zoals overeengekomen, ongeacht de handtekening. De Geschillenkamer oordeelt dat het gebrek aan handtekening geen inbreuk uitmaakt op artikel 5.1.f), artikel 32.1 en 32.2 j° artikel 5.2, artikel 24.1 en artikel 25.1 AVG. 46. Voor zoveel als nodig herinnert de Geschillenkamer eraan dat, hoewel artikel 5.1 en 5.2 AVG nauw met elkaar verbonden zijn, een schending van de verantwoordingsplicht van artikel 5.2 AVG niet automatisch ook een schending van artikel 5.1 AVG betekent. De verantwoordingsplicht betreft de formele veruitwendiging om door middel van documenten de naleving van de materiële grondbeginselen van de AVG aan te tonen. De Geschillenkamer stelt vast dat het Inspectieverslag geen elementen bevat die wijzen op een inbreuk in verband met concrete verwerkingen van persoonsgegevens in hoofde van verweerster. II.3. Artikel 35.1, 35.2, 35.3 en 35.7 AVG II.3.1. Vaststellingen van de Inspectiedienst 47. Tijdens het Inspectieonderzoek heeft de Inspectiedienst gevraagd aan de verweerster of er al dan niet een gegevensbeschermingseffectbeoordeling (hierna: GEB) werd uitgevoerd voor de verwerkingen die plaatsvinden met betrekking tot MeldJeAan. 48. Zoals hierboven in punt 27 e.v. aangegeven, komt, op basis van de verstrekte antwoorden van de verweerster, de Inspectiedienst tot de vaststelling dat de verweerster niet louter als verwerker beschouwd kan worden, maar wel als verwerkingsverantwoordelijke, gelet op de verwerkersovereenkomst met Z waarin de verweerster als verwerkingsverantwoordelijke aangeduid wordt en de genomen maatregelen n.a.v. het datalek. Op haar rust dus de verplichting een GEB uit te voeren. 49. De Inspectiedienst wijst erop dat er in deze zaak sprake is van een evaluatie of scoretoekenning in de zin van artikel 35.3.
5. a)AVG namelijk kenmerken van beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren of interesses, betrouwbaarheid of gedrag, locatie of verplaatsingen van de betrokkene. Daarnaast worden er ook gegevens met betrekking tot kwetsbare betrokkenen, namelijk kinderen, verwerkt. Beslissing ten gronde 165/2023 – 12/24 50. Vervolgens verwijst de Inspectiedienst naar de Richtsnoeren voor gegevensbeschermingseffectbeoordelingen van de WP29 waarin wordt gesteld dat de 7 8 vereiste om een GEB uit te voeren geldt voor bestaande verwerkingen die waarschijnlijk een hoog risico inhouden voor de rechten en vrijheden van natuurlijke personen en waarvoor de risico’s zijn veranderd, rekening houdend met de aard, de omvang, de context en de doeleinden van de verwerking. 51. Gelet op het bovenstaande concludeert de Inspectiedienst dat de verweerster als verwerkingsverantwoordelijke voor de verwerkingen van persoonsgegevens in het kader van MeldJeAan een GEB had moeten uitvoeren. Het feit dat dit niet gebeurd is, maakt volgens het Inspectieverslag een inbreuk op artikel 35.1, 35.2, 35.3 en 35.7 AVG uit. II.3.2. Standpunt van de verweerster 52. In haar conclusies wierp de verweerster op dat zij niet als verwerkingsverantwoordelijke beschouwd diende te worden. Zoals reeds uiteengezet heeft de verweerster tijdens de hoorzitting echter het standpunt ingenomen dat zij samen met AGODI en de lokale schoolbesturen optreedt als gezamenlijke verwerkingsverantwoordelijke voor wat de verwerkingen van persoonsgegevens in het kader van MeldJeAan. 53. De verweerster heeft ingevolge dit standpunt verschillende maatregelen en acties ondernomen om te handelen overeenkomstig de AVG. Zo heeft zij een GEB opgesteld, die een gunstig advies heeft verkregen van de functionaris voor gegevensbescherming. De GEB werd vervolgens voorgelegd aan de schoolbesturen als gezamenlijke verwerkingsverantwoordelijken. Er werden geen opmerkingen op de GEB geformuleerd door de schoolbesturen waardoor deze als definitief beschouwd wordt. De verweerster heeft deze GEB vervolgens overgemaakt aan de Geschillenkamer. II.3.3. Beoordeling door de Geschillenkamer 54. De Geschillenkamer verwijst naar deel II.1.3 waarin de verweerster als gezamenlijke verwerkingsverantwoordelijke werd gekwalificeerd. In artikel 26.1 van de AVG wordt bepaald dat gezamenlijke verwerkingsverantwoordelijken op transparante wijze hun respectieve verantwoordelijkheden voor de nakoming van de verplichtingen uit hoofde van de verordening bepalen en overeenkomen. Gezamenlijke verwerkingsverantwoordelijken moeten dus “wie doet wat” bepalen door onderling te beslissen wie welke taken zal moeten uitvoeren om ervoor te zorgen dat de verwerking voldoet aan de toepasselijke 7 WP29, Richtsnoeren voor gegevensbeschermingseffectbeoordelingen en bepaling of een verwerking "waarschijnlijk een hoog risico inhoudt" in de zin van Verordening 2016/679. 8 Working Party 29, voorganger van de EDPB. Beslissing ten gronde 165/2023 – 13/24 verplichtingen uit de AVG met betrekking tot de betrokken gezamenlijke verwerking. 9 Een van deze verplichtingen die desgevallend moet worden opgenomen in deze taakverdeling is het opstellen van een GEB (artikel 35 AVG). 55. In overeenstemming met de risico-gebaseerde aanpak die in de AVG is vastgelegd, is een GEB niet verplicht voor elke verwerking. Een GEB is alleen verplicht als de verwerking "waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen" (artikel 35, lid 1 AVG). Wanneer gezamenlijke verwerkingsverantwoordelijken bij de verwerking betrokken zijn, moeten ze hun respectieve verplichtingen precies bepalen. In de GEB moet worden beschreven welke partij verantwoordelijk is voor de verschillende maatregelen die zijn ontworpen om risico's aan te pakken en de rechten en vrijheden van de betrokkenen te beschermen. Elke verwerkingsverantwoordelijke moet uiteenzetten wat zijn behoeften zijn en hij moet nuttige informatie delen zonder geheimen prijs te geven (bijvoorbeeld bescherming van handelsgeheimen, intellectuele eigendom, vertrouwelijke bedrijfsinformatie) of kwetsbare punten te onthullen.10 56. Hoewel in andere omstandigheden een gegevensbeschermingseffectbeoordeling vereist kan zijn, worden in artikel 35.3 AVG, enkele voorbeelden gegeven van wanneer een verwerking "waarschijnlijk een hoog risico inhoudt": "(
6. a)een systematische en uitgebreide beoordeling van persoonlijke aspecten van natuurlijke personen, die is gebaseerd op geautomatiseerde verwerking, waaronder profilering, en waarop besluiten worden gebaseerd waaraan voor de natuurlijke persoon rechtsgevolgen zijn verbonden of die de natuurlijke persoon op vergelijkbare wijze wezenlijk treffen;
7. b)grootschalige verwerking van bijzondere categorieën van persoonsgegevens als bedoeld in artikel 9, lid 1, of van gegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten als bedoeld in artikel 10; of (
8. c)stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten". 57. Bij het beoordelen of een GEB vereist is voor verwerkingen op grond van hun inherente hoog risico, moeten negen criteria in aanmerking genomen worden, namelijk: